Tunnels SSH et proxy SOCKS

Bienvenue dans le monde des tunnels SSH ! Il ne s’agit pas de tunnels physiques, mais de connexions sécurisées qui vous permettent de transférer du trafic réseau via un serveur SSH.

Imaginez la création d’un chemin secret et chiffré à travers un réseau public. Ce chemin vous permet d’accéder à des services qui pourraient autrement être bloqués ou peu sécurisés.

Les tunnels SSH sont extrêmement polyvalents pour les développeurs et les administrateurs système. Ils vous aident à :

• Contourner les pare-feu : accéder à des services internes qui ne sont pas exposés à Internet.
• Sécuriser le trafic non chiffré : chiffrer les données qui circuleraient normalement de manière non sécurisée (par exemple avec d’anciens protocoles).
• Accéder aux ressources restreintes : atteindre des services sur un réseau privé depuis un réseau public, ou inversement.

Le transfert de port local consiste à connecter un port de votre machine locale à un port d’une machine distante (via le serveur SSH).

Le serveur SSH joue le rôle d’intermédiaire. Votre application locale se connecte à un port local, puis SSH transfère de manière sécurisée ce trafic vers l’hôte et le port distants indiqués.

La syntaxe du transfert de port local est simple :

ssh -L [local_port]:[remote_host]:[remote_port] [user]@[ssh_server]

Voici un exemple pour accéder à une base de données exécutée sur db-server (port 3306) via votre serveur ssh-gateway :

Après avoir exécuté la commande de la scène précédente, vous pouvez maintenant connecter votre client de base de données local à localhost:8080.

Tout le trafic que vous envoyez vers localhost:8080 sera transféré de manière sécurisée via ssh-gateway.com vers db-server:3306. Cette technique est très utile pour accéder à des bases de données ou à des services web privés.

Le transfert de port distant est l’opposé du transfert local. Il vous permet d’exposer un service exécuté sur votre machine locale via un port du serveur SSH distant.

Ainsi, d’autres personnes peuvent se connecter à un port du serveur SSH distant, et leur trafic est transféré de manière sécurisée vers votre service local.

La syntaxe du transfert de port distant utilise l’option -R :

ssh -R [remote_port]:[local_host]:[local_port] [user]@[ssh_server]

Supposons que vous ayez un serveur web exécuté localement sur le port 8000 et que vous souhaitiez le rendre accessible à d’autres personnes via votre serveur ssh-gateway, sur le port 8888 :

Une fois le tunnel distant établi, toute personne pouvant atteindre ssh-gateway.com peut accéder à votre serveur web local en se connectant à ssh-gateway.com:8888.

Cette technique est utile pour partager un serveur de développement local avec des coéquipiers ou pour les webhooks qui doivent atteindre votre machine locale.

Un proxy SOCKS vous permet d’acheminer tout le trafic de vos applications (par exemple, celui d’un navigateur web ou d’un client de discussion) via le serveur SSH. Cette technique est souvent utilisée pour anonymiser la navigation ou contourner les restrictions réseau.

L’option -D crée un proxy SOCKS sur un port local :

Après avoir exécuté ssh -D 9999 user@ssh-gateway.com, un proxy SOCKS fonctionnera sur localhost:9999.

Vous configurez ensuite votre navigateur web (ou une autre application) pour utiliser localhost comme proxy SOCKS5 sur le port 9999. Tout le trafic Internet de cette application sera alors acheminé de manière sécurisée via votre ssh-gateway.

Vous essayez d’accéder depuis votre machine locale (localhost) à un service web interne privé exécuté sur internal-app.local:80. Vous disposez d’un accès SSH à jump-host.com.

Quelle commande SSH utiliseriez-vous pour transférer le port local 8080 vers le service web interne ?

Vous maîtrisez désormais les tunnels SSH ! Nous avons vu :

• Transfert de port local (-L) : accéder aux services distants depuis votre machine locale.
• Transfert de port distant (-R) : exposer des services locaux sur le serveur SSH distant.
• Proxy SOCKS (-D) : acheminer tout le trafic des applications via le serveur SSH pour préserver la confidentialité ou contourner les restrictions.

Ces techniques sont des outils puissants pour accéder au réseau de manière sécurisée et flexible lors du développement et de l’administration.